Jabber Zeus

En una acusación formal presentada en el Distrito de Nebraska el 22 de agosto de 2012, se enumeraron nueve miembros principales de Jabber Zeus:

• Evgeniy Bogachev, alias "lucky12345", ^{[ b ]} residente de Rusia. Bogachev fue el principal desarrollador del malware Jabber Zeus y del anterior kit de creación del troyano Zeus . ^{[ 10 ]}
• Vyacheslav Penchukov, alias "tanque" y "padre", residente de Ucrania. Penchukov coordinó el movimiento de credenciales bancarias robadas, así como la red de blanqueo de dinero . ^{[ 11 ]} Fue la primera persona en ser notificada por el malware de una infección y el único miembro del grupo que se comunicó con Bogachev. ^{[ 12 ]}
• Yevhen Kulibaba, alias "jonni", residente del Reino Unido. Kulibaba era el presunto cabecilla del grupo, ^{[ 13 ] [ 14 ]} pero esto es cuestionado por Brian Krebs y Patrick O'Neill, quienes afirman que Penchukov o Bogachev, respectivamente, era el líder. ^{[ c ] [ 12 ]}
• Yuriy Konovalenko, alias "jtk0", residente del Reino Unido. Konovalenko fue la mano derecha de Kulibaba en el Reino Unido, ^{[ 13 ]} proporcionándole datos bancarios de las víctimas y de los intermediarios financieros, y recopilando información de sus cómplices. ^{[ 11 ]}
• Ivan Klepikov, alias "petr0vich" y "nowhere", residente de Ucrania. Klepikov era administrador de sistemas para la tripulación. ^{[ 11 ]}
• Alexey Bron, alias "thehead", residente de Ucrania. Bron gestionó la transferencia de fondos utilizando el servicio de pago en línea WebMoney . ^{[ 11 ]}
• Alexey Tikonov, alias "kusanagi", residente en Rusia. Tikonov era un codificador de la empresa criminal. ^{[ 11 ]}
• Maksim Yakubets , alias "aqua", ^{[ d ]} residente de Rusia. Yakubets gestionaba y reclutaba mulas de dinero para el grupo. ^{[ 12 ] [ 17 ]}
• "mricq", nombre real desconocido, residente de Ucrania. "mricq" era programador del equipo. ^{[ 18 ]}

La acusación imputaba a los miembros principales los delitos de fraude bancario e informático , crimen organizado y robo de identidad. ^{[ 1 ] [ 19 ]}

El grupo Jabber Zeus operaba distribuyendo, generalmente a través de correos electrónicos no deseados (spam) , ^{[ 20 ]} e instalando el malware homónimo en las computadoras de las víctimas, para luego usarlo para acceder a sus cuentas bancarias. El dinero era robado de las cuentas y transferido a una red de intermediarios financieros que lo blanqueaban antes de que llegara a los delincuentes. Estos intermediarios generalmente desconocían que estaban manejando fondos robados. ^{[ 17 ]} El FBI afirmó en 2010 que existían más de 3500 de estos intermediarios financieros. ^{[ 21 ]} El grupo Jabber Zeus se dirigía principalmente a pequeñas empresas. ^{[ 15 ]} En 2010, los investigadores estimaron que, como mínimo, los delincuentes habían robado 70  millones de dólares, siendo la cifra real mucho mayor. ^{[ 7 ]}

La actividad del grupo se remonta al menos a 2009. La versión inicial del malware Jabber Zeus se construyó a partir del kit Zeus estándar, entonces conocido como Zeus 2. ^{[ 22 ]} El malware se distinguía principalmente de otras variantes de Zeus por una modificación que le permitía enviar las credenciales bancarias de las víctimas, en particular las contraseñas de un solo uso, a los delincuentes tan pronto como la víctima iniciaba sesión. El mensaje se enviaba a través del protocolo Jabber , ^{[ 23 ] [ 24 ]} de ahí el nombre "Jabber Zeus". ^{[ 10 ]} En septiembre de 2010, Bogachev proporcionó al grupo una versión especializada del malware, conocida como ZeuS 2.1.0.X. ^{[ 25 ]} Esta contenía otras capacidades únicas, incluido un algoritmo de generación de dominio para evitar intentos de apagado, soporte para expresiones regulares y la capacidad de infectar archivos . ^{[ 26 ]} El malware estaba protegido adicionalmente por una clave de cifrado que requería que Penchukov comprara cada copia individualmente a un costo de $ 10 000 por copia. ^{[ 7 ]}

Las máquinas infectadas, al igual que otras variantes de Zeus, formaron una botnet a la que el grupo podía acceder y controlar. ^{[ 27 ]} El análisis de varias variantes de Zeus, incluyendo Jabber Zeus, reveló intentos de esta botnet de buscar información secreta y sensible en Georgia, Turquía y Ucrania, lo que generó sospechas de que el malware también se utilizaba para espionaje en nombre de Rusia. ^{[ 28 ]} En una entrevista con la BBC en 2025 , Penchukov comentó que algunos hackers rusos trabajaban con los servicios de seguridad rusos y a menudo hablaban de "controladores" en sus conversaciones. ^{[ 29 ]}

El 11 de septiembre de 2011, el malware Jabber Zeus se actualizó a Gameover Zeus , la última variante conocida de Zeus desarrollada por Bogachev. ^{[ 30 ]}

El 2 de julio de 2009, el Washington Post publicó un artículo de Brian Krebs que describía el robo de 415.000 dólares al gobierno del condado de Bullitt, Kentucky , por parte del grupo Jabber Zeus . ^{[ 31 ]} Poco después, Krebs fue contactado por una persona que había pirateado el servidor de mensajería instantánea Jabber del grupo y pudo leer las conversaciones privadas entre ellos. Los miembros del grupo también estaban al tanto del artículo del Washington Post y expresaron su frustración porque sus hazañas ahora eran de dominio público; en una conversación entre Penchukov y Bogachev, el primero afirmó que "ahora todo Estados Unidos sabe sobre Zeus", a lo que Bogachev asintió: "Esto es una mierda". Los miembros del grupo continuaron leyendo los escritos de Krebs a partir de entonces. ^{[ 10 ]}

Krebs también obtuvo acceso a los mensajes enviados a las mulas de dinero por el grupo, explotando una falla de seguridad en los sitios web de reclutamiento de mulas de dinero que permitía que un programa automatizado extrajera mensajes enviados a cualquier otro usuario; los usuarios podían, después de iniciar sesión, leer mensajes a otros usuarios cambiando un número en la URL. ^{[ 17 ]} Con este acceso, pudo prevenir y escribir sobre varios intentos de intrusión por parte del grupo contactando a las empresas víctimas. El 13 de diciembre de 2009, el grupo descubrió que Krebs había sido despedido del Washington Post antes de que esta información se hiciera pública, y celebraron el evento, con un reclutador de mulas de dinero esperando una eventual confirmación del rumor: "¡Buenas noticias esperadas justo para Año Nuevo!" ^{[ 15 ]}

En septiembre de 2009, el Buró Federal de Investigaciones (FBI) obtuvo una orden de registro para un servidor en Nueva York que se sospechaba que estaba vinculado a la organización Jabber Zeus. Se descubrió que el servidor contenía los chats del grupo, que el FBI comenzó a monitorear. ^{[ 7 ]} Poco después, comenzaron a compartir información de los chats con el Servicio Federal de Seguridad (FSB) de Rusia y el Servicio de Seguridad de Ucrania (SBU). ^{[ 12 ]} Penchukov fue identificado por esas fechas; había enviado un mensaje el 22 de julio con el nombre y el peso de su hija recién nacida, que se correlacionó con los registros de nacimiento ucranianos. ^{[ 15 ]} En abril de 2010, el grupo se dio cuenta de que estaba siendo monitoreado, posiblemente alertado por un agente corrupto del SBU, pero continuó enviando mensajes usando el servidor comprometido durante un tiempo. ^{[ 12 ]}

El FBI organizó la Operación Trident Breach, una colaboración entre el FBI, el FSB, el SBU y las agencias policiales del Reino Unido y los Países Bajos, en 2010 para capturar a los líderes del grupo Jabber Zeus. La operación se coordinó principalmente en junio de 2010, en una casa propiedad del director del SBU, Valeriy Khoroshkovskyi , con la intención de arrestar a los sospechosos el 29 de septiembre de ese año. Sin embargo, la operación se pospuso varias veces, finalmente hasta el 1 de octubre, a petición del SBU, momento en el que ya habían perdido el rastro de Penchukov. ^{[ 12 ]} Penchukov había sido alertado sobre la próxima operación y se había escondido. ^{[ 15 ]}

Entre el 30 de septiembre y el 1 de octubre de 2010, se ejecutó la Operación Trident Breach, que resultó en el arresto de 39 ciudadanos estadounidenses, 20 residentes del Reino Unido y cinco ucranianos. ^{[ 32 ]} No hubo arrestos en Rusia. ^{[ 12 ]} La operación había comenzado un día antes en respuesta a informes de que Penchukov y otros sospechosos habían sido alertados. ^{[ 21 ]} Entre los arrestados estaban Kulibaba y Konovalenko, quienes fueron condenados en el Reino Unido en 2011, ^{[ 33 ]} luego extraditados a los Estados Unidos en 2014, ^{[ 11 ]} y Klepikov, quien no fue extraditado debido a la prohibición de la constitución ucraniana de extraditar ciudadanos y finalmente fue liberado junto con los demás ucranianos arrestados. Penchukov, aprovechando sus conexiones con el presidente ucraniano Viktor Yanukovych y las autoridades locales en su ciudad natal de Donetsk , logró que se retiraran los cargos en su contra. ^{[ 12 ] [ 10 ]} A pesar de la fuga de varios miembros clave, el sindicato fue desmantelado y efectivamente clausurado por la operación. ^{[ 7 ]} Algunos miembros de Jabber Zeus se dedicaron a otras empresas; Penchukov trabajó en la industria del carbón hasta 2014 y se convirtió en líder de otra organización de ransomware, Yakubets ayudó a fundar el grupo de malware " Evil Corp ", ^{[ 29 ]} y Bogachev se volcó a trabajar con su nuevo proyecto, Gameover Zeus. ^{[ 30 ]}

Las identidades de Bogachev y Yakubets no se conocieron públicamente hasta después de que Jabber Zeus se disolviera y se reformara como Gameover Zeus tras los arrestos; solo se les conocía por sus seudónimos, "lucky12345" y "aqua", respectivamente, como miembros del grupo. Bogachev también era conocido como "Slavik", aunque no fue identificado con ese nombre en la acusación de 2012. ^{[ 34 ]}

Bogachev fue identificado en 2014, después de que una fuente indicara a los investigadores de Fox-IT, una empresa de investigación de seguridad, una de sus direcciones de correo electrónico. Aunque Bogachev había utilizado una VPN para administrar la botnet Gameover Zeus, también la había utilizado para acceder a sus cuentas personales, lo que permitió a los investigadores, que previamente habían penetrado en los servidores de comando de la botnet, vincular el sistema con Bogachev. ^{[ 7 ] [ 35 ]}

Yakubets fue identificado formalmente en una denuncia penal el 14 de noviembre de 2019, con base en evidencia recopilada de 2010 a 2018. Un intento de determinar quién alquiló el servidor Jabber que el FBI vulneró en 2009 no arrojó ninguna pista, ya que el servidor fue alquilado con un nombre falso. ^{[ 23 ]} El 9 de julio de 2010, las autoridades estadounidenses enviaron una solicitud de asistencia legal mutua a Rusia para obtener información sobre "aqua"; las autoridades rusas respondieron con evidencia de que "aqua" era Yakubets, obtenida de su cuenta de correo electrónico, que usaba el seudónimo "aqua", pero contenía correos electrónicos que lo identificaban por su nombre real, así como su dirección. El 25 de diciembre de 2012, una mujer que se encontró viviendo en la dirección de Yakubets identificó a su cónyuge como Yakubets en una solicitud de visa y declaró a un niño que viajaba con ella como su hijo. El nombre del niño se encontró en los registros de chat interceptados entre Yakubets y Penchukov de 2009. El 19 de marzo de 2018, Microsoft, tras una orden judicial, proporcionó registros que conectaban la cuenta de Skype de Yakubets con su correo electrónico. El 12 de agosto de 2018, la ahora exesposa de Yakubets y su hijo solicitaron otra visa, indicando nuevamente a Yakubets como el exmarido de la mujer. ^{[ 36 ] [ 37 ]}

Penchukov fue arrestado en Ginebra , Suiza, el 23 de octubre de 2022, y su extradición a Estados Unidos fue concedida el 15 de noviembre. Su arresto fue citado por el periodista de CNN Sean Lyngaas y Krebs como ejemplo de las oportunidades para arrestar a ciberdelincuentes que surgieron tras la invasión rusa de Ucrania, cuando estos huían del país para protegerse. ^{[ 38 ] [ 39 ]} Penchukov firmó un acuerdo de culpabilidad el 15 de febrero de 2024, ^{[ 40 ]} y fue sentenciado a nueve años de prisión y una multa de más de 73 millones de dólares el 11 de julio. ^{[ 41 ]}